Я бы выбрал третий вариант
Encrypt the access token and store it as a cookie. API access will be haven through the back-end where encrypted cookie will be decrypted and added as a Bearer header.
Все, что связано с токеном, который мы должны хранить на стороне клиента, не существует никакого пути, но можно сделать его безопасным, добавив шифрование, чтобы сделать его более безопаснымно такой подход заставит разработчика настроить алгоритм шифрования и дешифрования для обработки токена